Compliance-Kompetenzen nach Branchen: DORA, NIS2, AI Act, CRA

Bei der Einhaltung welcher Vorschriften unterstützt BlackBelt?

BlackBelt Technology konzipiert, entwickelt, integriert und betreibt Software, die EU- und ungarischen Vorschriften entsprechen muss. Für Finanzinstitute arbeiten wir nach DORA, für Organisationen im Anwendungsbereich von NIS2 nach den NIS2-Anforderungen. Unsere Entwicklungsprozesse bauen auf dem Prinzip Security by Design auf.

Compliance ist kein nachträgliches Audit. Über eine Vorschrift wird in der Architektur des Systems, in der Protokollierung, im Incident-Management, in den Lieferantenverträgen und in der Dokumentation entschieden. Im Folgenden zeigen wir nach Branchen, welche Vorschriften Ihre Software betreffen und wo wir helfen können.

Welche Zertifizierungen hat BlackBelt?

Das Informationssicherheits-Managementsystem von BlackBelt ist nach ISO/IEC 27001:2023, das Qualitätsmanagementsystem nach ISO 9001:2015 zertifiziert. Beide Zertifikate umfassen den gesamten Software-Lebenszyklus: von Konzeption und Entwicklung über die Integration bis zum Betrieb.

Das ist wichtig, weil sowohl DORA als auch NIS2 erwarten, dass eine Organisation auch ihre Lieferkette kontrolliert. Ein nach ISO/IEC 27001 zertifizierter Entwicklungspartner vereinfacht diese Kontrolle.

Finanzwesen, Banken und Versicherungen: Welche Vorschriften betreffen die Software?

Im Finanzsektor bestimmen DORA, die Erwartungen der MNB (der ungarischen Zentralbank), PSD3 und PSR, eIDAS 2.0, der AI Act und die DSGVO gemeinsam, wie ein Bank- oder Versicherungssystem aufgebaut sein darf. Als IKT-Dienstleister arbeitet BlackBelt für seine Kunden aus dem Finanzsektor nach den Lieferantenanforderungen von DORA.

• DORA (Digital Operational Resilience Act): Seit 17. Januar 2025 anwendbar. Regelt das IKT-Risikomanagement, die Meldung von Vorfällen, das Testen der Resilienz und die Kontrolle externer IKT-Dienstleister. Der Softwarelieferant muss sich vertraglich zu DORA-konformer Zusammenarbeit, Prüfbarkeit und Geschäftskontinuität verpflichten.
• PSD3 und PSR: Die endgültigen Texte des Pakets, das PSD2 ablöst, wurden am 23. April 2026 veröffentlicht. Sie betreffen die starke Kundenauthentifizierung (SCA), die Betrugsprävention und Open Banking. Nach aktuellen Schätzungen gilt der Großteil der Pflichten ab 2028; die Vorbereitung der Entwicklung beginnt jetzt.
• eIDAS 2.0 und EUDI Wallet: Bis 24. Dezember 2027 müssen Banken, Versicherer und Zahlungsdienstleister die Europäische Brieftasche für die Digitale Identität bei der Kundenidentifizierung und der starken Kundenauthentifizierung akzeptieren. Das bedeutet Integrationsentwicklung an Onboarding- und Authentifizierungssystemen.
• AI Act: KI in der Kreditwürdigkeitsprüfung und in der Risikobewertung von Versicherungen gilt als Hochrisiko-System. Nach der Digital-Omnibus-Änderung gelten diese Pflichten ab 2. Dezember 2027.
• MNB-Erwartungen und DSGVO: Die Empfehlungen der MNB und die Datenschutzanforderungen der DSGVO sind Grundvoraussetzungen jeder Bankentwicklung.

Wie BlackBelt hilft: Core-Banking- und Legacy-Modernisierung ohne Betriebsunterbrechung, sichere API- und Open-Banking-Integration sowie die Entwicklung von Systemen zur Betrugsprävention und Kreditwürdigkeitsprüfung.

NIS2: Was bedeutet sie für einen Softwarelieferanten?

In Ungarn wurde die NIS2-Richtlinie (EU 2022/2555) durch das seit 1. Januar 2025 geltende Gesetz LXIX von 2024 (Cybersicherheitsgesetz) umgesetzt; in der Privatwirtschaft beaufsichtigt sie die SZTFH. BlackBelt entwickelt und betreibt für seine Kunden im Anwendungsbereich von NIS2 nach den NIS2-Anforderungen.

Der Kreis der betroffenen Organisationen ist breit: Energie, Verkehr, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Post- und Kurierdienste, Lebensmittel- und Chemieindustrie sowie mehrere Zweige des verarbeitenden Gewerbes, darunter Fahrzeugbau, Elektronik, Maschinenbau und Medizinprodukte. Die Sanktion beträgt bei wesentlichen Einrichtungen den Gegenwert von 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen 7 Millionen Euro oder 1,4 %, je nachdem, welcher Betrag höher ist.

NIS2 verlangt ausdrücklich die Sicherheit der Lieferkette, deshalb muss auch der Softwarelieferant geprüft werden. In der Praxis bedeutet das Folgendes:

• Protokollierung und Prüfbarkeit: jeder wesentliche Vorgang im System ist nachvollziehbar, Aufbewahrung und Schutz der Protokolle sind gelöst.
• Zugriffsverwaltung: rollenbasierte Berechtigungen, Mehrfaktor-Authentifizierung und regelmäßige Überprüfung der Berechtigungen.
• Incident-Management: die Software unterstützt die frühe Erkennung und die schnelle Bereitstellung der für die Behördenmeldung nötigen Daten.
• Lieferanten-Compliance: dokumentierte Entwicklungs- und Sicherheitsprozesse, die der Prüfer des Kunden kontrollieren kann.

Wie BlackBelt hilft: Entwicklung neuer NIS2-konformer Systeme, Vorbereitung bestehender Anwendungen auf das Cybersicherheits-Audit und sichere Integration von OT- und IT-Systemen.

Fertigung und Industrie: CRA, Data Act, AI Act und GMP

Bei Herstellern bestimmen neben NIS2 drei neue EU-Vorschriften und die Branchenvorgaben die Anforderungen an Software: der Cyber Resilience Act, der Data Act, der AI Act und in der Pharmaindustrie die GMP. Sie betreffen sowohl die in das Produkt eingebaute Software als auch die Systeme, die die Fertigung steuern.

• Cyber Resilience Act (CRA): Seit 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden an ENISA und das nationale CSIRT melden. Das gilt auch für bereits in Verkehr gebrachte Produkte. Das vollständige Anforderungssystem, einschließlich CE-Kennzeichnung, gilt ab 11. Dezember 2027. Die Geldbuße beträgt bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes.
• Data Act: Ab 12. September 2026 müssen neu in Verkehr gebrachte vernetzte Produkte und zugehörige Dienste so gestaltet sein, dass die entstehenden Daten dem Nutzer standardmäßig, sicher und kostenlos zugänglich sind (Access by Design). Ab 12. Januar 2027 entfallen die Gebühren für den Wechsel des Cloud-Anbieters.
• AI Act: Nach der Digital-Omnibus-Änderung gelten die Pflichten für in regulierte Produkte (zum Beispiel Medizinprodukte) eingebaute Hochrisiko-KI ab 2. August 2028.
• Pharmaindustrie und Medizintechnik: Software für Fertigungssteuerung und Qualitätsmanagement muss außerdem die GAMP-5-Methodik zur Validierung computergestützter Systeme (CSV) sowie die Audit-Trail- und Datenintegritätsanforderungen von EU-GMP Annex 11 und FDA 21 CFR Part 11 erfüllen.

Wie BlackBelt hilft: eine Architektur, die Sicherheitsupdates und Schwachstellenmanagement der Software unterstützt, sichere Integration von OT- und IT-Systemen, SPS, SCADA- und MES-Systemen mit dem ERP sowie Low-Code-Fertigungsanwendungen auf Basis von Mendix und JUDO mit validierbarer Dokumentation.

Handel, E-Commerce und Verbraucherdienste: Barrierefreiheit und Datenschutz

Für Unternehmen, die digitale Oberflächen für Verbraucher betreiben, gelten seit 28. Juni 2025 neben dem Datenschutz auch Anforderungen an die Barrierefreiheit. Das betrifft Webshops, mobile Apps, Online-Kundenservice und Banking-Oberflächen gleichermaßen.

• Barrierefreiheit (European Accessibility Act, EAA): in Ungarn durch das Gesetz XVII von 2022 umgesetzt. Digitale Oberflächen müssen mit Screenreadern nutzbar sein, eine einstellbare Schriftgröße und ausreichenden Kontrast haben. Der technische Maßstab ist die Norm EN 301 549, die auf den WCAG-Richtlinien aufbaut.
• DSGVO: der Umgang mit personenbezogenen Daten, Datenminimierung und die Bedienung der Betroffenenrechte sind Grundanforderungen jedes Kundensystems.
• Transparenzregeln des AI Act: nach der Digital-Omnibus-Änderung ist die Frist für die Kennzeichnung KI-generierter Inhalte der 2. Dezember 2026. Das kann auch Kundenservice-Chatbots und generierte Produktbeschreibungen betreffen.

Wie BlackBelt hilft: barrierefreie Überarbeitung bestehender Web- und Mobiloberflächen, Entwicklung neuer Oberflächen nach EN 301 549 sowie Integration von ERP-, CRM- und Lagersystemen mit auch datenschutzrechtlich geprüften Datenflüssen.

Regulatorische Fristen zwischen 2025 und 2028

Bis Ende 2027 laufen sieben Fristen ab, darunter die Regeln des AI Act für Hochrisiko-Systeme, die vollständige Anwendung des CRA und die verpflichtende Akzeptanz der EUDI Wallet bei Banken.

Häufige Fragen